Firebase Security Rules无法读取自定义令牌中的role声明

看起来你遇到的问题确实有点棘手——明明自定义声明已经正确设置，客户端也能读到，但Firebase安全规则就是拿不到role字段。我帮你梳理几个可能的关键点，你可以逐一排查：

1. 先理清楚自定义令牌和ID令牌的区别 #

你在后端代码里同时调用了setCustomUserClaims和createCustomToken，这里容易踩坑：

• setCustomUserClaims是把声明持久化到用户记录里的，后续客户端生成的ID令牌会自动包含这些声明；
• createCustomToken的第二个参数是临时声明，不会存在用户记录里，而且这个令牌是用来让客户端登录的，不是直接用来访问Firestore的。

如果客户端直接用createCustomToken返回的令牌去请求数据库，安全规则肯定读不到持久化的role声明。正确流程应该是：客户端用signInWithCustomToken登录，之后获取的ID令牌才会包含setCustomUserClaims设置的role。

2. 确认客户端的ID令牌真的包含role #

你已经用getIdTokenResult()读到了role，可以再做一步验证：把客户端拿到的ID令牌复制出来，用Firebase官方的ID令牌验证工具解码（不用跳转，直接在Firebase控制台的认证模块里就能操作），确认role字段确实在claims结构里。如果这里能看到，那问题大概率出在安全规则的配置或模拟器上。

3. 检查安全规则模拟器的配置 #

你说模拟器里request.auth.token没有role，大概率是模拟器的登录信息不对：

• 模拟器选择登录方式时，要选“自定义令牌”并填入最新刷新后的ID令牌，而不是你后端生成的createCustomToken结果；
• 模拟器可能有缓存，试试重启模拟器，或者重新配置登录账号，确保用的是带role声明的令牌。

另外可以给安全规则加个调试日志，看看request.auth.token的实际内容：

function isTutor() {
  debug(request.auth.token); // 模拟器会输出这个内容
  return request.auth.token.role == "tutor";
}

4. 排查Firebase服务端的缓存延迟 #

虽然你调用了getIdToken(true)强制刷新，但有时候Firebase的ID令牌服务会有短暂缓存。可以再等个几分钟，或者重新调用一次setCustomUserClaims，然后让客户端再次刷新令牌试试。

5. 确认环境一致性 #

有没有可能搞混了开发/生产环境？比如后端在生产环境设置了声明，但客户端和安全规则用的是开发环境的项目？这种低级错误有时候真的会坑到人。

最后再确认下客户端的登录流程是不是正确：

// 客户端正确登录示例
firebase.auth().signInWithCustomToken(customTokenFromBackend)
  .then(async (userCredential) => {
    // 登录后强制刷新ID令牌
    const freshIdToken = await userCredential.user.getIdToken(true);
    // Firebase SDK会自动用这个令牌请求Firestore，不用手动处理
  });

如果以上都排查过还是不行，可以试试重新部署一次安全规则，有时候规则部署会有延迟。

备注：内容来源于stack exchange，提问作者Haris Naeem